Пользователь авторизуется через форму логина и пароля: что в этот момент происходит, откуда приложение получает данные пользователя и его роли?

Клиент передаёт учётные данные по HTTPS, сервер проверяет их и создаёт сессию или выдаёт токены; профиль и роли возвращаются по согласованному контракту.

Они могут прийти в ответе логина или отдельном запросе вроде /me. Пароль не следует сохранять в клиентском хранилище после входа. Роли помогают интерфейсу показывать доступные действия, но backend проверяет разрешения каждого защищённого запроса сам. При изменении прав нужно определить обновление кешированного профиля и сессии.